Wie bereite ich mein Unternehmen auf die CRA-Fristen 2026 und 2027 vor?

TL;DR

• Der CRA (Verordnung (EU) 2024/2847) hat zwei zentrale Stichtage: 11.09.2026 für die Meldepflichten nach Art. 14, 11.12.2027 für die Hauptpflichten.
• Bis 11.09.2026 sollte intern ein Meldeprozess für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle stehen.
• Bis 11.12.2027 müssen Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung und Schwachstellen-Handling über den Support-Zeitraum vorbereitet sein.
• Ein vollständiges Produktinventar mit Klärung der CRA-Betroffenheit ist die Grundlage für alle weiteren Schritte.
• SBOM-Grundlagen (Software Bill of Materials) sollten frühzeitig aufgebaut werden, da sie sowohl für die Meldeprozesse als auch für die spätere Konformitätsbewertung relevant sind.

Warum jetzt mit der Vorbereitung beginnen?

Zwischen dem Beginn der Meldepflichten am 11.09.2026 und den Hauptpflichten am 11.12.2027 liegt gut ein Jahr. Diese Zeit wirkt komfortabel, ist es in der Praxis aber selten: Ein internes Meldeverfahren, ein belastbares Produktinventar und die Grundlagen einer Konformitätsbewertung lassen sich nicht in wenigen Wochen aufbauen, insbesondere wenn mehrere Produktlinien oder Softwarekomponenten betroffen sind. Ein strukturierter Fahrplan mit klaren Meilensteinen reduziert das Risiko, kurz vor einem Stichtag unter Zeitdruck zu geraten.

Schritt 1: Produktinventar und Betroffenheit klären

Am Anfang steht die Frage, welche Produkte des Unternehmens überhaupt digitale Elemente im Sinne des CRA enthalten und auf den EU-Markt gebracht werden. Dazu gehört auch die Klärung der eigenen Rolle: Tritt das Unternehmen als Hersteller, Importeur oder Händler auf? Diese Einordnung entscheidet über den Umfang der jeweiligen Pflichten. Für die grobe Vorprüfung, ob ein Produkt unter den CRA fällt, bietet sich der CRA-Betroffenheitscheck als erster Schritt an.

Schritt 2: SBOM-Grundlagen aufbauen

Eine Software Bill of Materials (SBOM) dokumentiert, aus welchen Komponenten eine Software besteht, einschließlich Fremdkomponenten und Open-Source-Bausteinen. Der CRA verlangt SBOM-Fähigkeit als Teil der Hauptpflichten ab dem 11.12.2027. Da der Aufbau einer belastbaren SBOM-Praxis technische Prozesse und Tooling voraussetzt, die nicht kurzfristig eingeführt werden können, ist es sinnvoll, bereits 2026 mit einer Bestandsaufnahme der verwendeten Softwarekomponenten zu beginnen, unabhängig vom exakten Stichtag der Pflicht.

Schritt 3: Meldeprozess vor dem 11.09.2026 etablieren

Ab dem 11.09.2026 gilt die Pflicht, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden. Der Ablauf ist mehrstufig: eine Frühwarnung binnen 24 Stunden, eine vollständige Meldung binnen 72 Stunden und, im Fall einer Schwachstelle, ein Abschlussbericht spätestens 14 Tage nach der Korrekturmaßnahme beziehungsweise binnen einem Monat nach einem Sicherheitsvorfall. Die Meldung erfolgt über die CRA Single Reporting Platform an das CSIRT am Herstellersitz, das die Information an ENISA und andere CSIRTs weitergibt. Diese Pflicht gilt auch für Produkte, die bereits vor dem 11.12.2027 in Verkehr gebracht wurden, ein Punkt, der in der Praxis häufig übersehen wird.

Checkliste: Vorbereitung 2026 bis 2027

1. Vollständiges Produktinventar erstellen und je Produkt die CRA-Betroffenheit klären.
2. Zuständigkeiten für Meldeprozesse und Konformitätsbewertung intern benennen.
3. Internen Meldeprozess für aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle vor dem 11.09.2026 einrichten (Fristen: 24h Frühwarnung, 72h vollständige Meldung).
4. Anlaufstelle zur CRA Single Reporting Platform und zum zuständigen CSIRT identifizieren.
5. SBOM-Grundlagen für alle relevanten Softwarekomponenten aufbauen.
6. Produktklasse vorläufig einordnen (Standard, wichtig Klasse I/II, kritisch) und im Einzelfall gegen Anhang III/IV prüfen.
7. Prozesse für Schwachstellen-Handling und Update-Bereitstellung über den geplanten Support-Zeitraum konzipieren.
8. Technische Dokumentation für die spätere Konformitätsbewertung vorbereiten.
9. Bei wichtigen oder kritischen Produktklassen frühzeitig klären, ob eine notifizierte Stelle eingebunden werden muss.
10. Zeitplan für CE-Kennzeichnung bis zum 11.12.2027 aufstellen, mit Pufferzeit für Nacharbeiten.

Schritt 4: Konformitätsbewertung und CE-Kennzeichnung bis 2027 vorbereiten

Für die Hauptpflichten ab dem 11.12.2027 ist die Konformitätsbewertung der aufwendigste Teil. Je nach Produktklasse reicht das Spektrum von der Selbstbewertung bei Standardprodukten bis zur EU-Zertifizierung durch eine notifizierte Stelle bei kritischen Produkten nach Anhang IV. Welche konkreten Produktbeispiele welcher Klasse zuzuordnen sind, sollte im Einzelfall gegen die Anhänge III und IV geprüft werden, eine pauschale Einordnung ohne Prüfung ist nicht belastbar. Die technische Dokumentation, die grundlegenden Cybersicherheitsanforderungen und die CE-Kennzeichnung müssen bis zum Stichtag vorliegen, wenn das Produkt weiterhin auf dem EU-Markt angeboten werden soll.

Wie hängen die beiden Stichtage zusammen?

Die Meldepflichten ab 11.09.2026 sind kein isolierter Prozess, sondern liefern Informationen, die auch für die spätere Konformitätsbewertung relevant sind: Ein Unternehmen, das bereits ab 2026 systematisch Schwachstellen erfasst und meldet, verfügt 2027 über belastbare Daten für die technische Dokumentation und das Schwachstellen-Handling. Wer den Aufbau des Meldeprozesses verschleppt, riskiert, die Grundlagenarbeit für beide Stichtage gleichzeitig unter Zeitdruck nachholen zu müssen.

Muss ich bereits 2026 eine vollständige Konformitätsbewertung durchführen?

Nein, die Konformitätsbewertung ist Teil der Hauptpflichten, die ab dem 11.12.2027 gelten. 2026 sollten jedoch die Grundlagen wie Produktinventar, Betroffenheitsklärung und SBOM-Aufbau vorbereitet werden.

Gilt die Meldepflicht ab 11.09.2026 auch für ältere Produkte?

Ja, die Meldepflicht nach Art. 14 CRA gilt auch für Produkte, die bereits vor dem 11.12.2027 in Verkehr gebracht wurden, sofern sie in den Anwendungsbereich des CRA fallen.

Ausgangspunkt für die eigene Planung

Für eine erste Einordnung, ob und in welchem Umfang ein Produkt unter den CRA fällt, eignet sich der CRA-Betroffenheitscheck als Ausgangspunkt der Fristenplanung. Einen vollständigen Überblick über den CRA, seine Fristen und Pflichten bietet der Grundlagenartikel Cyber Resilience Act im Überblick.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert: 11.08.2026)
• Europäische Kommission, CRA Reporting Obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert: 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert: 11.08.2026)
• ENISA, Cyber Resilience Act: https://www.enisa.europa.eu/topics/cyber-resilience-act (verifiziert: 11.08.2026)